Sicurezza dei Mac in azienda: cosa protegge il sistema, cosa decidi tu

Quando un Mac nuovo arriva in ufficio, la sicurezza di base è già accesa. Non la installi, non la configuri, non la paghi a parte: fa parte del sistema operativo, agisce nello stesso modo su ogni Mac dell'azienda, e continua a lavorare anche nei giorni in cui nessuno si occupa di sicurezza a tempo pieno. È un buon punto di partenza, ma è solo l'inizio. Alcune protezioni vanno accese di proposito, alcune scelte spettano all'azienda e non a un'impostazione, e c'è una parte di rischio che nessun sistema operativo, Mac compreso, può coprire da solo. Questa guida separa le tre cose, così sai su cosa puoi contare, cosa devi decidere e dove resta comunque il fattore umano a fare la differenza.

Le difese che il Mac ha già, senza che tu debba fare nulla

Apple costruisce la sicurezza di macOS su tre livelli che lavorano insieme: impedire che il malware parta, bloccarlo se prova comunque a farlo, ripulire il Mac se qualcosa è comunque riuscito a insediarsi. Lo spiega la guida alla sicurezza della piattaforma Apple, e vale per ogni Mac uscito dalla confezione, a prescindere da chi lo ha configurato o da quanto tempo fa.

Gatekeeper è il primo controllo. Quando su un Mac si apre per la prima volta un'app scaricata da fuori l'App Store, Gatekeeper verifica che provenga da uno sviluppatore riconosciuto da Apple, che abbia superato la Notarizzazione, cioè la scansione antimalware a cui Apple sottopone il software prima che circoli fuori dall'App Store, e che non sia stata modificata dopo la firma. Se una di queste condizioni manca, il Mac mostra un avviso invece di aprire semplicemente l'app.

XProtect è il secondo livello, ed è di fatto l'antivirus che il Mac ha già incorporato, anche se Apple quasi non usa questa parola per descriverlo. Controlla ogni app alla prima apertura e ogni volta che un file viene modificato, riconosce il malware già noto, lo blocca e lo sposta nel cestino avvisandoti. Il dettaglio che conta per un'azienda è che le sue firme si aggiornano da sole, di default ogni giorno, indipendentemente dal fatto che qualcuno installi gli aggiornamenti di macOS o meno. Anche su un Mac rimasto indietro con gli aggiornamenti per mesi, questo pezzo di protezione continua comunque a lavorare.

La protezione dell'integrità del sistema (SIP) è il terzo pezzo, meno visibile ma rilevante per chi gestisce più di un Mac: limita la scrittura sui file critici del sistema anche per i processi che girano con privilegi di amministratore. In pratica, nemmeno un account amministratore usato in modo scorretto, o un'app dannosa che ottiene quei privilegi, può alterare il cuore del sistema operativo: è una protezione che vale a prescindere da chi ha effettuato l'accesso.

Nessuna di queste tre difese dipende da un manuale, da un reparto IT o da chi ha acceso il Mac la prima volta. Lavorano allo stesso modo su un Mac usato da due persone e su una flotta di trenta.

Cosa deve decidere l'azienda, non un'impostazione

Le difese sopra funzionano da sole. Quelle che seguono no: esistono già in macOS, ma restano spente finché qualcuno non le accende, oppure dipendono da una scelta che nessuna casella preselezionata può fare al posto tuo.

Aggiornamenti automatici. XProtect si aggiorna da solo, ma il resto del sistema no, a meno che tu non lo permetta. In Impostazioni di Sistema, sotto Generali, "Aggiornamento software", la sezione "Aggiornamenti automatici" ha tre interruttori separati: "Scarica i nuovi aggiornamenti quando disponibili", "Installa gli aggiornamenti di macOS" e "Installa interventi di sicurezza e file di sistema". La stessa pagina indica anche l'opzione "Aggiorna stanotte", che installa gli aggiornamenti già scaricati durante la notte invece che nel momento in cui arrivano, a patto che il Mac resti acceso, collegato alla corrente e connesso a internet: un modo per restare aggiornati senza fermare nessuno a metà di un lavoro. Un Mac con gli interruttori di "Aggiornamenti automatici" spenti può restare per mesi con una falla già corretta da Apple ma mai arrivata su quella macchina, anche se XProtect nel frattempo continua a fare il suo lavoro contro il malware già noto: sono due protezioni diverse, e una non sostituisce l'altra. Decidere se tenerli accesi su ogni Mac dell'azienda, invece di lasciare quello che qualcuno ha impostato o non impostato al momento dell'acquisto, è una scelta che spetta a chi gestisce l'azienda.

Da dove possono arrivare le app. Nelle stesse impostazioni di Privacy e sicurezza, sotto "Consenti app scaricate da", puoi scegliere tra "App Store" e "App Store e sviluppatori identificati". Per un Mac condiviso in reception, o per un dispositivo che usa sempre le stesse poche app, la prima opzione riduce quasi a zero il rischio di un'installazione sbagliata. Per chi lavora con software di settore che non passa dall'App Store, la seconda resta necessaria: è comunque una scelta da fare consapevolmente, non un dettaglio da lasciare come lo trova ogni singolo Mac.

Schermata di blocco. In Impostazioni di Sistema, "Schermata di blocco", puoi impostare dopo quanto tempo di inattività il Mac richiede di nuovo la password, con l'opzione "Richiedi una password dopo l'avvio del salvaschermo o dopo che lo schermo è stato disattivato". Su un Mac personale è comodo lasciare margini larghi. Su un Mac in un ufficio condiviso, in reception, o in un negozio, un Mac sbloccato e lasciato incustodito per dieci minuti è aperto a chiunque passi di lì: qui la scelta giusta è un tempo breve, uguale per tutti, non "quello che preferisce chi lo usa". La stessa pagina permette di attivare "Mostra messaggio quando bloccato", utile per lasciare un contatto se un portatile aziendale va perso o rubato fuori sede.

Chi è amministratore. Non tutti i dipendenti hanno bisogno di un account amministratore sul proprio Mac. Apple stessa lo spiega così: un amministratore "può aggiungere e gestire altri utenti, installare app e modificare le impostazioni", mentre un account Standard "può installare le app e modificare le proprie impostazioni, ma non può aggiungere altri utenti o modificarne le impostazioni". La differenza pratica è quanto danno può fare un errore, o un'app dannosa aperta per sbaglio, su quel Mac: con un account Standard resta comunque contenuto, con un amministratore no. La stessa pagina è netta anche su un altro punto, "per proteggere Mac, non rivelare il nome e la password amministratore a nessuno". Se in azienda ogni Mac è stato configurato con l'account amministratore come account di tutti i giorni, perché al momento dell'acquisto era la scelta più veloce, è una cosa che vale la pena cambiare, non solo sapere.

FileVault: chi tiene la chiave. FileVault cripta il disco del Mac, così che senza la password nessuno possa leggerne i dati. Il funzionamento non lo rispiego qui: trovi tutta la parte tecnica, passo per passo, nella guida completa a FileVault, scritta per chi possiede da solo il Mac che sta proteggendo. Quello che riguarda un'azienda è una domanda diversa: chi tiene la chiave di ripristino quando il Mac non è di una sola persona? Se FileVault lo attiva chi consegna il Mac al nuovo assunto, e quella persona lascia l'azienda un anno dopo senza che nessun altro sappia dove sia finita la chiave, un Mac bloccato da una password dimenticata resta bloccato per sempre, dati compresi: è esattamente il rischio contro cui Apple avverte in modo diretto quando qualcuno perde sia la password sia la chiave. La chiave di ripristino di un Mac aziendale non può restare nella testa, o nel telefono, di una sola persona: deve stare in un posto che l'azienda controlla, non l'individuo che quel giorno ha configurato il Mac.

Cosa nessuna di queste protezioni copre

Qui arriva la parte che un sito come apple.com non può scrivere, non perché non la conosca, ma perché non è nel suo interesse dirlo: buona parte del rischio reale per un'azienda non passa da una falla di macOS. Passa da una persona.

Apple stessa lo ammette, in un punto preciso della propria documentazione: ignorare l'avviso e aprire comunque un'app non verificata è, cita testualmente la pagina, "il modo più comune con cui il malware penetra nel Mac". Gatekeeper non impedisce a chi usa il Mac di forzare quell'avviso: lo segnala, poi lascia decidere alla persona. Se quella persona ha fretta, o non capisce bene cosa sta leggendo, la decisione sbagliata richiede un solo clic.

Anche la Notarizzazione ha un limite che vale la pena conoscere: controlla il software nel momento in cui viene sottoposto ad Apple, non quello che quel software scarica dopo, una volta già in esecuzione sul Mac. 9to5Mac ha documentato casi recenti di app malevole che hanno ottenuto regolarmente la Notarizzazione di Apple, con un certificato di sviluppatore autentico, proprio perché il comportamento dannoso arrivava solo più tardi, scaricato da un server esterno dopo l'installazione. Non è un difetto che si corregge con un'impostazione: è il limite di un controllo fatto una volta sola, all'inizio.

Il rischio più concreto oggi, comunque, non è quasi mai un'app camuffata da gioco. Secondo il report 2025 di Jamf su 1,4 milioni di Mac analizzati in 90 paesi, ripreso da 9to5Mac, la categoria di malware più diffusa sui Mac sono gli infostealer, programmi pensati per rubare password salvate nel browser, credenziali e chiavi di portafogli di criptovalute, non per danneggiare il Mac in sé. Lo stesso report attribuisce al phishing oltre il 90% degli attacchi analizzati, con circa 10 milioni di tentativi rilevati in un anno e un utente su dieci che ha cliccato almeno un link dannoso. Nessuna delle tre difese descritte più sopra, Gatekeeper, Notarizzazione o XProtect, è pensata per fermare questo: un link cliccato in buona fede, o una password inserita su un sito che sembrava quello vero, non passa mai da un controllo antimalware, perché non è malware.

E quel link, quasi sempre, non arriva su un file scaricato: arriva in un'email. Se in azienda usate Microsoft 365, il filtro contro i messaggi di phishing lavora lato server di posta, prima ancora che l'email arrivi sul Mac, attraverso controlli di autenticazione del mittente e regole anti-spoofing configurate su quel servizio. È una protezione reale, ma vive interamente fuori da macOS, non dipende in alcun modo da quale computer la legge, e la stessa documentazione Microsoft ammette che anche gli utenti più attenti fanno fatica a riconoscere i messaggi di phishing più elaborati. Il caso che dovrebbe preoccupare di più un'azienda piccola è quello che Microsoft chiama compromissione della posta aziendale: un'email che sembra arrivare da un fornitore o da un collega e chiede di autorizzare un pagamento o girare dei fondi. Nessun antivirus, su nessun sistema operativo, distingue quell'email da una vera, perché tecnicamente lo è: nessun file dannoso, nessuna firma da controllare, solo una persona convinta di parlare con chi crede.

Infine, un rischio che non ha niente a che fare con il software: un backup del Mac lasciato su un disco esterno non crittografato, in un cassetto o su una scrivania. FileVault protegge il disco del Mac acceso, non un disco di backup scollegato che finisce in mano a chiunque lo prenda: è un punto che la guida a FileVault tratta nel dettaglio, ed è la ragione per cui un'azienda che ha attivato FileVault sui propri Mac ma lascia i backup così come sono ha comunque protetto solo metà del rischio.

Errori comuni in azienda, e perché non sono ingenuità

Non sono mancanze di attenzione: sono quasi sempre l'effetto di come funziona davvero una piccola azienda, dove nessuno fa sicurezza a tempo pieno.

• La configurazione ereditata. Chi ha impostato i Mac in azienda anni fa è andato via, e nessuno ha mai riscritto da capo cosa è attivo e cosa no. Nessuno la tocca perché nessuno sa più com'è fatta, e "funziona" viene scambiato per "è a posto".
• Tutti amministratori, perché era più veloce. Configurare ogni account come amministratore evita di dover chiedere una password ogni volta che serve installare qualcosa. Fa risparmiare cinque minuti oggi, e toglie l'unico argine che un account Standard offre, il giorno che serve davvero.
• La chiave di FileVault che conosce solo una persona. Quasi sempre proprio quella che se n'è andata.
• La password amministratore su un foglietto sotto la tastiera. È lo stesso errore di cui parla la pagina Apple citata sopra: in un ufficio, "non rivelarla a nessuno" significa anche non lasciarla dove la vede chiunque passi da quella scrivania.
• Aggiornamenti rimandati perché "si stava lavorando". Un Mac che nessuno vuole fermare a metà giornata resta indietro per mesi, proprio sulla parte che XProtect da solo non copre.

Nessuno di questi errori richiede un reparto IT per essere evitato. Richiede che qualcuno li decida una volta, per iscritto, invece di lasciare che restino come li ha trovati chi è arrivato prima.

Se vuoi rivedere la sicurezza dei Mac della tua azienda con qualcuno che guarda la situazione reale, non un elenco di impostazioni, la pagina consulenza Mac spiega come funziona.